ping成功但telnet失败说明icmp通而tcp握手未建立，需依次排查：一、目标服务监听地址是否为0.0.0.0或宿主机ip（非127.0.0.1）；二、宿主机防火墙是否放行容器子网（如172.17.0.0/16）对目标端口的入站tcp；三、iptables forward策略及docker-user链有无drop规则；四、目标服务自身访问控制（如pg_hba.conf、nginx allow）是否允许容器ip；五、dns解析是否返回正确ipv4地址，可试用telnet -4；六、容器与宿主机mtu是否匹配，避免tcp分片丢包。
如果您在容器内部执行 ping 命令能成功到达目标 IP，但使用 telnet 连接该 IP 的特定端口时失败，则说明 ICMP 报文可通而 TCP 握手未建立。以下是解决此问题的步骤：
一、检查目标服务是否在容器网络可达范围内监听
容器默认使用桥接网络（bridge），其网络命名空间与宿主机隔离。若目标服务运行在宿主机上且仅绑定 127.0.0.1，则容器无法通过 localhost 或 127.0.0.1 访问该服务；必须绑定到 0.0.0.0 或宿主机实际网卡 IP，并确保该地址对容器路由可见。
1、进入容器执行：ip route show，确认默认网关及路由表是否包含目标服务所在子网。
2、在目标服务所在机器（如宿主机）运行：ss -tuln | grep :端口号，检查 Local Address 列是否为 0.0.0.0:端口号 或具体网卡 IP（非 127.0.0.1）。
3、若服务绑定 127.0.0.1，修改其配置文件（如 Nginx 的 listen 指令、MySQL 的 bind-address）并重启服务。
二、验证容器与目标之间的防火墙策略
Docker 默认桥接网络不启用 iptables 链跳转拦截，但宿主机 firewalld/ufw 或云平台安全组可能丢弃来自容器网段（如 172.17.0.0/16）的入站 TCP 包，而 ICMP 仍被放行。
1、在宿主机执行：sudo ufw status verbose，确认规则中是否允许容器子网访问目标端口。
2、若使用 firewalld，运行：sudo firewall-cmd --list-all --zone=public，检查 ports 和 sources 是否包含容器网络 CIDR。
3、临时禁用宿主机防火墙测试：sudo ufw disable 或 sudo systemctl stop firewalld，再从容器 telnet 验证。
三、排查 Docker 网络驱动与 iptables 规则冲突
Docker 启动时自动写入 DOCKER-USER、DOCKER-ISOLATION-STAGE-1 等自定义链，若手动添加了 DROP 规则或修改了 FORWARD 链默认策略，可能导致容器发出的 TCP SYN 包被丢弃，而 ping（ICMP）因走 INPUT 链未受影响。
1、查看 FORWARD 链策略：sudo iptables -L FORWARD -n，确认默认策略为 ACCEPT。
2、检查 DOCKER-USER 链是否存在拒绝规则：sudo iptables -L DOCKER-USER -n，若有 DROP 行，需调整或清空该链。
3、重载 Docker 网络以刷新规则：sudo systemctl restart docker，再测试连接。
四、确认目标服务未启用协议级访问控制
某些服务（如 Redis、PostgreSQL、Nginx）内置 IP 白名单、host-based 认证或 TLS 版本限制，可在 TCP 连接建立后主动关闭会话，导致 telnet 显示“Connected”后立即断开，curl 则因发送完整请求可能触发不同逻辑。
1、在目标服务日志中搜索连接来源 IP：journalctl -u 服务名 --since "1 hour ago" | grep 容器IP。
2、检查 PostgreSQL 的 pg_hba.conf 是否允许来自容器子网的 host 条目。
3、检查 Nginx 的 allow 指令是否遗漏容器网段，例如：allow 172.17.0.0/16;。
五、检测容器内 DNS 解析与地址解析偏差
当使用域名而非 IP 执行 telnet 时，容器内 /etc/resolv.conf 的 nameserver 可能返回 IPv6 地址（AAAA 记录），而目标服务仅监听 IPv4（或反之），造成 telnet 尝试连接错误协议栈地址；ping 因通常 fallback 到 IPv4 而成功。
1、在容器中执行：nslookup 目标域名 和 dig 目标域名 A，对比返回的 A 记录是否为预期 IPv4 地址。
2、强制使用 IPv4 测试：telnet -4 目标域名 端口号。
3、检查容器 DNS 配置：cat /etc/resolv.conf，确认 nameserver 不指向不可达或返回异常记录的 DNS 服务器。
六、验证容器网络 MTU 与底层传输匹配性
Docker 桥接网络默认 MTU 为 1500，若宿主机物理网卡或云平台 VPC 底层 MTU 小于该值（如阿里云 VPC 为 1450），TCP 大包分片可能被丢弃，导致三次握手 SYN+ACK 无法完整抵达容器，表现为 telnet 超时；而 ICMP 请求包较小，不受影响。
1、在容器中查看当前 MTU：ip link show eth0 | grep mtu。
2、在宿主机查看物理网卡 MTU：ip link show ens3 | grep mtu（替换为实际网卡名）。
3、若存在差异，启动容器时显式指定 MTU：docker run --mtu=1450 ...，或修改 Docker daemon.json 中 mtu 字段并重启 dockerd。
